使用DangerJS管理项目依赖的最佳实践-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00084/article/details/148505622

使用DangerJS管理项目依赖的最佳实践

danger-js danger-js: 是一个开源的代码审查工具，用于自动化代码审查过程。它可以帮助开发者快速发现代码中的问题，提高代码质量。特点包括易于使用、支持多种代码审查平台、支持自定义规则等。项目地址: https://gitcode.com/gh_mirrors/da/danger-js

前言

在现代JavaScript开发中，依赖管理是一个不可忽视的重要环节。随着项目规模的增长，依赖项的数量往往会迅速膨胀，带来维护和安全方面的挑战。本文将介绍如何利用DangerJS这一强大的代码审查自动化工具，来帮助我们更好地管理项目依赖。

基础依赖检查

锁定文件一致性检查

任何对package.json的修改都应该同步更新锁定文件（如yarn.lock或package-lock.json）。这是一个基本但重要的规则，可以防止团队成员间出现依赖版本不一致的问题。

import { danger, warn } from "danger"

const packageJson = danger.git.fileMatch("package.json")
const packageLock = danger.git.fileMatch("yarn.lock")
if (packageJson.modified && !packageLock.modified) {
  warn("检测到package.json变更但缺少对应的锁定文件更新")
}

这个简单检查能有效避免许多潜在的依赖问题。

高级依赖管控

限制列表机制

当某个依赖包被发现存在严重安全问题（如CVE公布的问题）时，我们需要确保它不会被添加到项目中。

const restrictedList = "存在问题的包名"

schedule(async () => {
  const packageDiff = await danger.git.JSONDiffForFile("package.json")

  if (packageDiff.dependencies) {
      const newDependencies = packageDiff.dependencies.added
      if (newDependencies.includes(restrictedList)) {
        fail(`禁止添加${restrictedList}到项目依赖中，详见CVE公告`)
      }
  }
})

深入解析依赖变更

JSONDiffForFile提供了详细的依赖变更信息，包括：

新增的依赖项
移除的依赖项
变更前后的完整依赖列表

这让我们能够精确掌握每一次依赖变更的细节。

处理传递性依赖

直接依赖容易管理，但传递性依赖（即依赖的依赖）往往容易被忽视。我们可以通过检查锁定文件来发现这些潜在问题。

import fs from "fs"

const restrictedList = "存在问题的包名"
const lockfile = fs.readFileSync("yarn.lock").toString()

if (lockfile.includes(restrictedList)) {
  const message = `发现限制列表依赖${restrictedList}`
  const hint = `使用yarn why ${restrictedList}命令追踪引入来源`
  fail(`${message}<br/>${hint}`)
}